У нас тут в комментах пошел вопрос о том как защитить API от левого подключения, при условии что API в анонимном доступе. Вопрос сложный, так как любая защита доступа строится на "секрете", а у анонимного доступа есть проблемы с созданием и передачей секретов. Из практики могу посоветовать сделать такую штуку как "сценарии угроз", где пропишите от чего вы хотите защищать приложение и как. Например: - защита от парсинга/скачивания данных - api квоты (ограничение на IP) - токен авторизации - обфускация - защита от воровства токена - хэширование или контрольные суммы - защита от роботов - ... - защита от накрутки - ... - защита от DDOS - ... Когда конкретно будут понятны "угрозы" тогда и методы защиты станут более понятным. Если есть какие-то угрозы, которые непонятно как "закрыть" то это тоже хорошо, потому что знать слабые места - важно.